Hochschule Luzern · Information & Cyber Security

Software-Security-Maturität und CRA-Readiness von Schweizer Softwareherstellern

Durchgeführt von Manuel Walder, Security-Architekt und Fachexperte im Bereich Software-Security und dem EU CRA.

Mehr zum Autor

Zwei getrennte Wege zur Teilnahme

Teil 1

Online-Befragung

Fragebogen, 10–15 Minuten

voraussichtlich Oktober bis Ende November 2026

Link folgt

Teil 2

Persönliche Interviews

Gespräch, rund 60 Minuten

mit ausgewählten Herstellern

Für ein Interview melden

Wer soll teilnehmen?

Unternehmen: Softwarehersteller mit Sitz in der Schweiz, deren Kerngeschäft Softwareprodukte sind. Jede Grösse zählt, auch Hersteller, die nicht unter den EU CRA fallen.

Person: jemand mit Überblick über die gesamte Softwareentwicklung, zum Beispiel CTO, Entwicklungsleitung, CISO, Software-Architektin oder Lead Developer.

Bitte nur eine Teilnahme pro Unternehmen.

Bericht: Anfang 2027

Worum es geht

Seit dem 11. September 2026 gelten die ersten Pflichten des EU Cyber Resilience Act (CRA), ab Dezember 2027 gilt er vollständig. Der CRA wirkt extraterritorial: Betroffen ist fast jeder Hersteller, der Software auf dem EU-Markt kommerziell in Verkehr bringt, unabhängig vom Firmensitz und ohne dass eine EU-Niederlassung nötig wäre. Bussen reichen bis 15 Mio. Euro bzw. 2,5 % des weltweiten Jahresumsatzes.

Der CRA ist aber nur der Anlass. Die Frage dahinter betrifft jeden Hersteller, ob er unter den CRA fällt oder nicht: Wie reif ist die sichere Softwareentwicklung in der Schweizer Softwareindustrie tatsächlich, und wie gut sind die betroffenen Hersteller auf den CRA vorbereitet? Für die Schweiz fehlen dazu bislang systematische Daten.

Was die Studie untersucht

Die Studie liefert ein erstes Bild zu beiden Fragen. Eine Online-Befragung Schweizer Softwarehersteller erfasst zwei gleichgewichtige Themen: den Reifegrad der sicheren Softwareentwicklung entlang eines etablierten Reifegradmodells und die CRA-Readiness der betroffenen Hersteller. Das Ergebnis ist ein orientierendes Bild der Schweizer Softwareindustrie mit konkreten Handlungsempfehlungen. Der Bericht erscheint Anfang 2027.

Ergänzend werden vertiefende persönliche Interviews mit ausgewählten Herstellern geführt.

Teilnahme

Online-Befragung

Das Ausfüllen nimmt 10–15 Minuten in Anspruch. Die Antworten werden vertraulich behandelt und nur anonymisiert ausgewertet. Wer möchte, kann eine E-Mail-Adresse hinterlassen und erhält ein individuelles Kurzfeedback zur eigenen Reife und Betroffenheit sowie den Schlussbericht mit Vergleichswerten aller Teilnehmenden und Handlungsempfehlungen. Die E-Mail-Adresse wird nur für diesen Versand verwendet. Die Erhebung läuft voraussichtlich von Oktober bis Ende November 2026.

Persönliche Interviews

Die Interviews werden mit ausgewählten Herstellern geführt. Ein Interview dauert rund 60 Minuten. Gesprächspartner sind Personen, welche die Softwareentwicklung ihrer Firma überblicken, idealerweise aus Geschäftsleitung, Produkt-/Entwicklungsleitung oder Sicherheitsverantwortung. Die Angaben werden vertraulich behandelt. Auch die Interviewpartner erhalten ein individuelles Kurzfeedback und den Schlussbericht.

Lucerne University of Applied Sciences and Arts · Information & Cyber Security

Software Security Maturity and CRA Readiness of Swiss Software Manufacturers

Conducted by Manuel Walder, security architect and subject matter expert in software security and the EU CRA.

More about the author

Two separate ways to take part

Part 1

Online survey

Questionnaire, 10–15 minutes

expected from October to the end of November 2026

Link to follow

Part 2

Personal interviews

Conversation, about 60 minutes

with selected manufacturers

Apply for an interview

Who should take part?

Company: software manufacturers based in Switzerland whose core business is software products. Any size counts, including manufacturers not covered by the EU CRA.

Person: someone with an overview of the entire software development, for example CTO, head of engineering, CISO, software architect or lead developer.

Please submit only one response per company.

Report: early 2027

What it is about

The first obligations of the EU Cyber Resilience Act (CRA) have applied since 11 September 2026, and the regulation will apply in full from December 2027. The CRA has extraterritorial effect: it affects almost every manufacturer that places software on the EU market on a commercial basis, regardless of where the company is based and without requiring an establishment in the EU. Fines range up to EUR 15 million or 2.5% of worldwide annual turnover.

The CRA, however, is only the occasion. The question behind it concerns every manufacturer, whether or not it falls under the CRA: how mature is secure software development in the Swiss software industry really, and how well prepared are in-scope manufacturers for the CRA? Systematic data on this is not yet available for Switzerland.

What the study examines

The study provides a first, indicative picture of both questions. An online survey of Swiss software manufacturers covers two equally weighted topics: the maturity of secure software development, based on an established maturity model, and the CRA readiness of in-scope manufacturers. The result is an indicative picture of the Swiss software industry with concrete recommendations for action. The report will be published in early 2027.

In addition, in-depth personal interviews are conducted with selected manufacturers.

Participation

Online survey

Completing the survey takes 10–15 minutes. Responses are treated confidentially and analysed only in anonymised form. Participants who wish to can leave an e-mail address and will receive brief individual feedback on their own maturity and CRA applicability, as well as the final report with comparative figures across all participants and recommendations for action. The e-mail address is used only for sending these. The survey is expected to run from October to the end of November 2026.

Personal interviews

The interviews are conducted with selected manufacturers. An interview takes about 60 minutes. Interviewees are people who have an overview of their company's software development, ideally from senior management, product or development management, or security. All information is treated confidentially. Interviewees also receive brief individual feedback and the final report.